VPN autentifikasiya sahəsi: hansı hesab ad məkanı qalib gəlir?

Hər VPN girişi hansısa hesab ad məkanına düşür və hansının olduğunu seçən seçici sahədir. O, ölkə, server məkanı və ya etimad səviyyəsi barədə heç nə demir. İki eyni istifadəçi adı müxtəlif sahələrdə yaşaya bilər, buna görə düzgün parol bəzən yanlış hesabı təsdiqləyir. Bu təlimat əvvəlcə kimlik formasını düzəldir, sonra sorğunu faktiki cavab verən sistemə qədər izləyir.

Sahə nəyi seçir

Şlüz istifadəçi adı alır və onu harada yoxlayacağına qərar verməlidir. Sahə həmin adın, ya da yanındakı atributun verilənlər bazasını seçən hissəsidir: kataloq, RADIUS hovuzu, yerli hesab faylı. Microsoft-un NPS-i bunu sahə adı adlandırır və bağlantı sorğularını onunla yönləndirir, EAP şəbəkə giriş identifikatoru isə eyni fikri RFC 7542-də @ işarəsindən sonra şəkilçi kimi daşıyır. İkisi də seçicidir və heç biri etimadnamənin yaxşı olub-olmadığını həll etmir.

Bu ayrılıq iki çox fərqli nasazlıq yaradır. Düzgün yönləndirən sahə yanlış parolla bir imtina verir, yanlış verilənlər bazasına yönləndirən sahə isə düzgün parolu rədd edə və ya başqasına aid olanı qəbul edə bilər. Heç bir xəta sahəni qeyd etmir, buna görə ilk diaqnostika həmişə eynidir: hansı sistemin cavab verdiyini öyrənin.

Sahə sintaksisi yerləşdirməyə aiddir. Bəzi xidmətlər atributla birlikdə kvalifikasiyasız ad istəyir, başqaları user@domain istəyir, bir neçəsi isə əksər təlimatların heç vaxt qeyd etmədiyi tərs qəmə işarəli formanı gözləyir.

Arxa tərəfin gözlədiyi formadan istifadə edin

Dərslikdəki şəkilçiləri sınamazdan əvvəl operatora hansı formanın yazılacağını soruşun. Sadə ad gözləyən arxa tərəfə çatan domenlə kvalifikasiyalı ad adətən parol yoxlamasında deyil, axtarışda uğursuz olur. İki kataloqda eyni qısa ad olan hal, çatışmayan sahənin ən çox ziyan verdiyi haldır.

İdarəetmə hesabını sübut kimi qəbul etməyin. Xidməti idarə etdiyiniz veb konsol yerli fayla qarşı təsdiqləyə bilər, tunel isə tamamilə başqa kataloqu yoxlayır. Real istifadəçinin istifadə edəcəyi etimadnamələrlə, real istifadəçinin istifadə edəcəyi interfeysdə sınayın. Uğurlu konsol girişi şlüzün VPN autentifikasiyasına tətbiq etdiyi sahə barədə heç nə demir.

Brauzerlər və poçt proqramları bəzən əvvəlki kimliyi keşləyib sakitcə yenidən göndərir. Bildirilən istifadəçi adı yazılandan fərqlənəndə ilk baxılacaq yer həmin keşdir.

Sorğunu proksidən keçirərək izləyin

FreeRADIUS ön hissəsində sahələr proksi konfiqurasiyasında elan olunur və elan edilmiş şəkilçi hansı ev serverinin sorğunu alacağını müəyyən edir. Bir şeyi dəyişməzdən əvvəl o faylı oxuyun, çünki heç bir sahəyə uyğun gəlməyən sorğu standart olaraq yerli işlənir.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep hansı şəkilçilərin olduğunu və hər birinin hansı hovuzu hədəflədiyini göstərir. radtest çağırışı sahəli ad və qəsdən yanlış parol göndərir, buna görə imtina həm marşrutun, həm də etimadnamə yoxlamasının işlədiyini sübut edir. Həmin cəhd ətrafındakı jurnal sətirləri adın proksidən əvvəl kəsilib-kəsilmədiyini və hansı ev serverinin onu aldığını göstərir. Jurnal heç bir sahə uyğunluğu göstərmirsə, sorğu yerli serverdən heç vaxt çıxmayıb və problem parol deyil, şəkilçidir.

Hər dəfə bir şeyi dəyişin və cəhdi təkrarlayın, çünki jurnal marşrutla etimadnamə nasazlığını yalnız girişlər arasında fərq olduqda ayırır. Alətin fayldan və ya promptdan oxumağı dəstəklədiyi yerdə ortaq sirri shell tarixçəsindən kənarda saxlayın.

Cəhdi sızdırmadan qeyd edin

Nasazlığı administratorun hərəkət edə biləcəyi formada yazın: interfeys, kimlik forması, sahənin olub-olmaması və dəqiq qeyri-sirr xəta. Canlı istifadəçi adını ictimai hesabatlardan kənarda, sahəni isə içində saxlayın. Hər kimliyi eyni yer tutucuya qədər silmək məhz tapmağa çalışdığınız uyğunsuzluğu gizlədir. Zaman damğası da vacibdir, çünki şlüz, proksi və kataloq ayrı jurnallar saxlayır.

Sonra qalib formanı istifadəçilər üçün sənədləşdirin, çünki onu səhv yazan növbəti şəxs eyni bileti açır. Parolun sıfırlanması yanlış ad məkanına düşməyə davam edən sorğunu düzəltmir. Sahə marşrut qərarıdır və marşrut qərarları onları düzgün adlandırmaqla düzəlir.